GM/T 0115-2021 信息系统密码应用测评要求

ICS35.040

CCSL80

中华人民共和国密码行业标准

/—

GMT01152021

信息系统密码应用测评要求

Testinandevaluationreuirementsforinformation

gq

sstemcrtorahalication

yypgpypp

2021-10-19发布2022-05-01实施

国家密码管理局发布

/—

GMT01152021

目次

前言…………………………Ⅲ

1范围………………………1

2规范性引用文件…………………………1

3术语和定义………………1

4概述………………………1

5通用测评要求……………3

5.1密码算法合规性……………………3

5.2密码技术合规性……………………3

5.3密码产品合规性……………………3

5.4密码服务合规性……………………4

5.5密钥管理安全性……………………4

6密码应用技术和密码应用管理测评要求………………4

6.1物理和环境安全……………………4

6.2网络和通信安全……………………6

6.3设备和计算安全……………………8

6.4应用和数据安全……………………11

6.5管理制度……………14

6.6人员管理……………17

6.7建设运行……………19

6.8应急处置……………21

7整体测评要求……………23

7.1概述…………………23

7.2单元间测评…………………………23

7.3层面间测评…………………………23

8风险分析和评价…………………………23

9测评结论…………………24

()…………

附录资料性密钥生存周期管理检查要点

A25

()…………

附录资料性典型密码产品应用测评技术

B29

()………………

附录资料性典型密码功能测评技术

C31

参考文献……………………33

Ⅰ

/—

GMT01152021

前言

/—《:》

本文件按照标准化工作导则第部分标准化文件的结构和起草规则的规定

GBT1.120201

起草。

。。

请注意本文件的某些内容可能涉及专利本文件的发布机构不承担识别专利的责任

本文件由密码行业标准化技术委员会提出并归口。

:、、

本文件起草单位国家密码管理局商用密码检测中心中国科学院数据与通信保护研究教育中心

()、、(

公安部三所公安部信息安全等级保护评估中心上海交通大学中国电子科技集团第十五研究所信

)、、、

息产业信息安全测评中心国家信息技术安全研究中心深圳市网安计算机安全检测技术有限公司北

、。

京信息安全测评中心山东道普测评技术有限公司

:、、、、、、、、、、、

本文件主要起草人肖秋林罗鹏马原陈天宇郑昉昱银鹰张立花吕娜黎水林刘健杨宏志

、、。

吴冬宇李晨旸张晓溪

Ⅲ

/—

GMT01152021

信息系统密码应用测评要求

1范围

,、、

本文件规定了信息系统不同等级密码应用的测评要求从密码算法合规性密码技术合规性密码

、,

产品合规性密码服务合规性以及密钥管理安全性等方面提出了第一级到第五级的密码应用通用测评

;、、、

要求从信息系统的物理和环境安全网络和通信安全设备和计算安全应用和数据安全等四个技术层

;、、

面提出了第一级到第四级的密码应用技术测评要求从管理制度人员管理建设运行和应急处置等四

,、、

个管理方面提出了第一级到第四级的密码应用管理测评要求并给出了整体测评风险分析和评价测

评结论等测评环节的要求。

、、、

本文件适用于指导规范信息系统密码应用在规划建设运行环节的商用密码应用安全性评估

工作。

:。

注第五级密码应用测评要求只在本文件中描述通用测评要求

2规范性引用文件

。,

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款其中注日期的引用文

,;,()

件仅该日期对应的版本适用于本文件不注日期的引用文件其最新版本包括所有的修改单适用于

本文件。

/—信息安全技术信息系统密码应用基本要求

GBT397862021

/密码术语

GMZ4001

3术语和定义

/—和/界定的以及下列术语和定义适用于本文件。

GBT397862021GMZ4001

3.1

商用密码应用安全性评估人员commercialcrtorahalicationsecuritevaluationstaff

ypgpyppy

在商用密码应用安全性评估机构中从事商用密码应用安全性评估的人员。

:“”。

注简称密评人员

3.2

核查examine

、,、。

密评人员对测评对象进行观察查验和分析以帮助密评人员理解澄清或取得证据的过程

4概述

/—,、

本文件根据GBT397862021将信息系统密码应用测评要求分为通用测评要求密码应用技术

。,,

和密码应用管理测评要求第章用于指导第章的实施不单独实施测评也不单独体现在密码应用

56

。。

安全性评估报告的单元测评结果和整体测评结果中附录为的测评实施参考附录和附录

A5.5BC

,

分别给出了典型密码产品应用测评技术和典型密码功能测评技术供密评人员在对信息系统中具体使

用的密码产品或应用的密码功能进行测评实施时参考。

1